
Verfahren und integrierter Schaltkreis zur Erhohung der 
Storfestigkeit 

Die Erfindung bezieht sich auf integrierte Schaltkreise, 
insbesondere in elektronischen Steuergeraten, die bevorzugt 
Bestandteile von Kraf tf ahrzeugsteuergeraten sind. Insbeson- 
dere handelt es sich bei den Steuergeraten urn Steuergerate 
fur Kraf tf ahrzeugbremssysteme . Solche Steuergerate sind un- 
ter anderem zur Durchfuhrung von sicherheitskritischen Rege- 
lungen geeignet. Die Kraf tf ahrzeugsteuergerate beinhalten 
bevorzugt Regelungsprogramme, wie ABS, ASR, ESP und derglei- 
chen. Auf Grund des hohen Sicherheitsbedarf s umfassen die 
Regelungssysteme, welche durch die integrierten Schaltkreise 
gebildet sind, Sicherheitsschaltkreise, welche einen Ausfall 
oder einen Fehler erkennen helfen und geeignete Mafinahmen, 
wie Abschaltung des gesamten Systems oder einen Notbetrieb 
durch teilweise den Betrieb des gesteuerten Systems erhal- 
tende Mafinahmen einleiten. 

Reglungssysteme mit integrierten Schaltkreisen, die Mikro- 
prozessoren enthalten, sind ftir die vorstehend geschilderten 
Aufgaben allgemein ublich. Um Fehlf unktionen vorzubeugen 
bzw. diese zu erkennen ist es sinnvoll, mindestens zwei Pro- 
zessorkerne vorzusehen. Drei oder mehrere Prozessorkerne 
wlirden zwar die Sicherheit weiter erhohen, jedoch ist dies 
aus Kostengrlinden in Verbindung mit den sehr hohen im Be- 
reich der Kfz-Technik ublichen Stuckzahlen nicht immer er- 
wlinscht. Es besteht daher der Bedarf an kostengunstigen 
Schaltkreisen mit hohem Sicherheitsniveau . 

Aufierordentlich bewahrt hat sich zum Beispiel ein Konzept 
eines Regelungssystems, welches aus zwei integrierten 
Schaltkreisen besteht, die in separaten Chipgehausen unter- 
gebracht sind. Hierdurch ergibt sich der Vorteil einer raum- 
lichen Trennung von Leistungsbauelementen (PowerFETs etc.) 
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und hochintegrierten Mikroprozessorbauelementen (yiC, Spei- 
cher usw. ) . 

Die f ehlerrelevante Kommunikation erfolgt im obigen Beispiel 
bevorzugt uber zwei Fehlerleitungen ERR und ERR__N . 

Die Erfindung geht von einem obigen System aus und verbes- 
sert dieses, um die Storf estigkeit weiter zu verbessern. 

Diese Aufgabe wird erf indungsgemafl gelost durch ein Verfah- 
ren gemaft den Ansprtichen 1 und 2 sowie einen integrierten 
Schaltkreis gemafi Anspruch 15. 

Das Regelungssystem kann auflerdem einen oder mehrere Uberwa- 
chungsschaltkreise besitzen, die insbesondere auf einem oder 
mehreren weiteren separaten Chips untergebracht sind (Watch- 
dog) . 

Im bekannten elektronischen Regler sind Prozessorchip und 
Leistungschip bevorzugt uber die Leitungen ERR und ERR_N 
verbunden. Dabei muss der Leistungschip in der Lage sein, 
Pulse vom Prozessorchip, die auf ERR bzw. ERR_N iibertragen 
werden, mit einer minimalen Pulsbreite von beispielsweise 
Tmin = 30 ns zu erkennen. Es ist mSglich, dass externe elekt- 
rostatische, magnetische oder elektromagnetische Storungen 
(z. B. statische Aufladungen, ESD) in das System eingreifen 
und unerwiinschte Auswirkungen haben. 

Erf indungsgemali werden Verfahren sowie integrierte Schalt- 
kreise gemafi den unabhangigen Patentanspruchen beschrieben, 
um die Storf estigkeit, insbesondere die Storf estigkeit der 
Signale ERR und ERR_N, zu erhohen. Dies fuhrt zur einer er- 
hohten Systemverf ugbarkeit . 



Nach einem Grundgedanken der Erfindung werden insbesondere 
folgende Malinahmen, einzeln oder in beliebiger Kombination, 
durchgeftthrt : 

• Deutliche Verlangerung der minimalen Pulsbreite Tnin 

• Filterung der Signale ERR und ERR_JST in dem Leistungs- 
chip 

• Neudef inition des Watchdog Zeitfensters in dem Leis- 
tungschip mit der Einfuhrung der Verzogerungszeit - 1 - Wi ndow- 

Delay • 

• Einfuhrung des Blocks „Toggle und Delay,, in der Prozes- 
sorchip urn die minimale Pulsbreite T M i n zu garantieren. 

Hierdurch ergeben sich folgende Vorteile: 

• Durch die Filterung der Leistungschip-Eingangssignale 
ERR und ERR__N wird die Storf estigkeit des Systems deut- 
lich verbessert. Besonders der Einfluss von elekrotsta- 
tischen, magnetischen oder elektromagnetischen Storun- 
gen wird erheblich verringert, da diese in der Regel 
von kurzer Dauer sind und wegen der neuen, groJieren 
Mindestimpulslange daher nicht irrtumlich als Fehler- 
signale interpretiert werden konnen, 

• Durch das er f indungsgemafie Verfahren wird erreicht, 
dass es zu keiner Einschrankung der Fehleruberwachung 
des Prozessorchips durch den Leistungschip gegentiber 
der bisherigen, ungef ilterten Losung, kommt . Das heilit, 
es gehen keine Fehlerimpulse verloren. 

Der integrierte Schaltkreis umfasst mindestens einen Mik- 
roprozessorchip oder Mehrf achprozessor-Microcontroller und 
mindestens einen weiteren Baustein, der insbesondere ein 



integrierter Baustein ist. Der integrierte Baustein um- 
fasst vorzugsweise Leistungsbauelemente und ist daher ins- 
besondere ein mixed-signal-Baustein . 

Probleme ergeben sich auf Grund der im allgemeinen erheb- 
lich hoheren Taktf requenz der Mikroprozessorbausteine ge- 
genuber den mixed-signal-Bausteinen . Hierdurch konnen auf- 
einanderfolgende Fehlerereignisse so dicht auf einanderf ol- 
gend sein, dass diese nicht mehr ohne weiteres von sonsti- 
gen Storungen unterschieden werden konnen. 

Alternativ kann die Erfindung auch insbesondere auf fol- 
gende Weise durchgefuhrt werden: 

• Die digitale Filterung kann durch eine analoge Filte- 
rung ersetzt werden. 

• Arbeitet der Microcontroller (Prozessorchip) viel lang- 
samer als der Mixed Signal Chip (Leistungschip) , dann 
kann ohne den „Toggle & Delay„-Block im Mikrocontroller 
eine digitale Filterung durchgefuhrt werden. 

Weitere bevorzugte Ausf uhrungsf ormen ergeben sich aus den 
Unteranspriichen und der nachfolgenden Beschreibung der Figu- 
ren. 

Nachfolgend wird die Erfindung an Hand von Beispielen naher 
erlautert . 

Es zeigen 

Fig. 1 einen Systemuberblick der zusammengeschalteten 
Chips / 
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Fig. 2 



eine Darstellung der Filtercharakteristik im Zu- 
saramenhang mit den Fehlerleitungen und 



Fig. 3 



ein Diagramm zur Darstellung des Zeitverhaltens 
der Signale (Timingdiagramm) . 



In Fig. 1 ist ein Systemuberblick gegeben: 

Im elektronischen Regler eines Kraf tf ahrzeugbremssystems ist 
der Mikrocontroller 1 (Prozessorchip) mit dem Mixed-Signal- 
IC 2 (Leistungschip) liber die Fehlerleitungen 3 und 4 sowie 
uber das SPI-Interf ace 5 verbunden. 

Der Mikrocontroller 1 besteht aus zwei unabhangigen Prozes- 
sorkernen (Core A und Core B) , deren Operationen kontinuier- 
lich durch die Vergleichsblocke Compare A und Compare B 
hardwaremaliig uberpruft werden. Wird bei dieser Vergleichs- 
operation ein Fehler erkannt, so muss diese Fehlerinf ormati- 
on tiber die Leitungen 3 ERR und 4 ERR_N an Leistungschip 2 
sicher ubertragen werden. 

Nach dem Verfahren wird ein Fehler bevorzugt dadurch signa- 
lisiert, dass der Pegel auf einer Fehlerleitung wechselt 
(z.B. von logisch "High" auf "Low") . 

Insbesondere ist vorgesehen, dass bei jedem Fehler jede der 
Leitungen 3 ERR und 4 ERR_N einmal den Signalpegel wechselt. 
Die Pegel auf ERR und ERR_N sind vorzugsweise gegenlaufig 
oder komplementar . 

Das Mixed Signal IC 2 arbeitet in der Regel und bevorzugt 
erheblich langsamer als der Mikrocontroller. Aus diesem 
Grund muss sichergestellt werden, dass die minimale Puls- 
breite T^n auf den Signalleitungen ERR und ERR__N nicht un- 
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terschritten wird. Sonst ist es moglich, class Baustein 2 
einen Fehler "ubersieht". 

Diese beiden Aufgaben werden von den Blocken „Toggle & De- 
lay,, 6 und 6' erfullt. Liegen in dem Prozessorchip mehrere 
Fehler vor, so werden die Pegelwechsel auf ERR und ERR_N 
verzogert ("Delay"), um die minimale Pulsbreite T min zu ga- 
rantieren. 

Das Mixed Signal IC filtert jeweils die ERR/ERR_N Signale 
mit jeweils einer Filtereinrichtung 7, 7'. Diese Filterung 
erfolgt insbesondere digital. Dabei ist bevorzugt eine Fil- 
terzeitkonstante T F iiter vorgesehen. Die minimale Pulsbreite 
T min ist bevorzugt viel groBer, als der interne Systemtakt 
des Leistungschips 2. 

Durch die Filterung der Signale ERR/ERR_N werden vorteil- 
hafterweise auliere Storungen (elektrostatische, magnetische 
oder elektromagnetische Storungen) , unterdriickt und dadurch 
die Zuverlassigkeit und Verftlgbarkeit des Systems erhoht . 

In den Blocken „Level Compare,, 8, 8' wird redundant iiber- 
priift, ob beide Fehlersignale gegeniaufige Pegel haben* 
Gleiche Pegel auf ERR und ERR__N fuhren zu einem Fehler und 
werden aulierhalb einer PrUfroutine auf den Signalen „Error 
Detected,, 9, 9' ausgegeben, Zusatzlich sucht der Block „Pul- 
se Detect,, 10, 10' nach Flanken auf den gefilterten 
ERR/ERR_N Signalen. Die Signalausgange von Block "Level- 
Compare" 8 und "Puls-Detect" 10 sind durch einen ODER- 
Baustein logisch verkniipft und bilden den Ausgang "ERR De- 
tected A" 9. Entsprechendes gilt fur den redundanten Pfad 
11' . 



Im beispielgemalien elektronischen Regler wird in regelmaiii- 
gen Abstanden T L0 o P eine Watchdog-Prtif routine mit kunstlicher 
Fehlertibertragung uber die SPI-Schnittstelle 5 von Prozes- 
sorchip 1 zu Leistungschip 2 signalisiert . Wahrend dieser 
Prtifroutine wird die Fehlererkennung im Mikrocontroller und 
die Verbindungen iiber die Error-Leitungen zwischen Leis- 
tungschip und Prozessorchip getestet. Im Mikrocontroller 
wird uber per Software angesteuerte Teststrukturen ein Feh- 
ler erzeugt, was am Ausgang der Blocke „Toggle und Delay,, zu 
einem einmaligen Pegelwechsel auf den ERR/ERRN- Leitungen 
f uhrt . 

Wahrend die Prtifroutine ( "Watchdoglibertragung" ) aktiv ist, 
definiert Leistungschip 1 uber Bus 5 ein Zeitfenster in 
Block 50. Innerhalb des Zeitfensters wird als gultiges Feh- 
lersignal zum Testen insbesondere ein Signal angesehen, wel- 
ches aus genau einem Flankenwechsel auf der gefilterten ERR 
und der ERR_N-Leitung besteht. Ein Fehler wird durch den 
Block "Puis Detect" 10 (bzw. 10' im redundanten Zweig B) 
erkannt, wenn innerhalb des Zeitfensters keine oder mehr als 
eine Flanke auf den gefilterten Signalen ERR-Filter oder 
ERR_N- Filter auftreten (siehe Timing Diagramm in Fig. 2) . 
Die Pegeltiberwachung 8 ist wahrend der Watchdoglibertragung 
mittels Leitung 18 (18' im redundanten Zweig B) ausgeschal- 
tet, da der Pegelwechsel auf ERR und ERR_N durch unter- 
schiedliche Signallauf zeiten nicht absolut synchron erfolgen 
kann. 

Am Ende des durch Block 50 definierten Zeitfensters miissen 
die Signale ERR/ERR_N wieder gegenlaufige Pegel besitzen, da 
nun die Pegeltiberwachung der gefilterten Signale wieder ein- 
setzt . 



Kommt es aufierhalb des Watchdog-Zeitf ensters zu einem Pegel- 
wechsel auf den gefilterten Signalen ERR oder ERR_N, so wird 
dies durch den Block "Puis Detect" 10 direkt als Fehler er» 
kannt und auf Leitung „Err Detected,, 9 ausgegeben. Urn diese 
Funktionalitat herbeizuf uhren, ist Block 50 mit Block 10 
liber eine Steuerleitung verbunden. 

Block "Level-Compare" 8 ist ebenfalls redundant vorgesehen 
(siehe Block 8'). Durch Block 8 wird geprlift, ob die Fehler- 
signale der komplementaren Fehlerleitungen beide vorhanden 
sind. Ist dies nicht der Fall, zum Beispiel wenn eine der 
Fehlerleitungen defekt ist, wird ein Fehler ausgegeben. 

In Fig, 2 ist gezeigt, wie eine Implementierung der ERR- 
Filter 7 bzw. 7' erfolgen kann: 

Wie in Fig. 1 zu erkennen, ist in Leistungschip 2 die Feh- 
lererkennung fUr die Leitungen 3 ERR und 4 ERRJST grundsatz- 
lich redundant ausgelegt. Daher ist bevorzugt fur jeden 
Rechnerkern eine eigene Fehlererkennungsschaltung 11 und 11' 
mit jeweils eigener Fehler leitung 9 "ERR-Detected A" und 9' 
"Err-Detected B" vorgesehen. Bevorzugt ist zur Senkung der 
Herstellungskosten in Schaltung 11 der Filter 7 nur fur eine 
der vorhandenen Fehlerleitungen 3 und 4 vorhanden. In Schal- 
tung 11' ist ebenfalls lediglich eine Filterschaltung 7' 
vorhanden. In beiden Schaltungen 11 und 11' wird der Ausgang 
des Filters 7 bzw. 7' mit den Verbindungspunkten 12 und 12' 
uber Kreuzleitungen 13 und 13' den EingSngen der "Level- 
Compare"-Schaltungen 8 und 8' neben den Fehlersignalen 3 und 
4 eingangsseitig zugefuhrt. Hierzu wird also jeweils das 
Ergebnis der Filteroperation in den Block ERR-Check B 11' 
zuriickgekoppelt . Umgekehrt gilt das gleiche fur das ERR_JSf 
Filter, dessen Ergebnis in den Block ERR-Check A 11 zuriick- 
gekoppelt wird. Die RUckkopplung wird jeweils fur den Test 
auf invertierte Pegel verwendet. 
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ERR-Filter 7 ist bevorzugt als digitaler Vorwarts/Ruck- 
wartszahler ausgeftihrt, der in Abhangigkeit vom Eingangssig- 
nals seinen Zahlerstand ahdert. Liegt am Eingang des Filters 
ein Signal mit dem digitalen Low-Pegel an, dann wird der 
Zahlerstand urn Eins vermindert. Liegt ein High-Pegel an, 
dann wird der Zahlerstand urn Eins erhoht. Die moglichen Zah- 
lerstande sind auf den Bereich von 0 bis Z MaxC ount begrenzt. In 
Fig* 2 ist ein moglicher Signalverlauf dargestellt. Entspre- 
chendes gilt auch flir den Filter 7'. 

Erreicht der Zahlerstand von Filter 7 den Wert Null, dann 
geht der Ausgang des Filters an Punkt 12 auf Low. Erreicht 
der Zahlerstand den Wert Z Ma xcount, dann geht der Ausgang des 
Filters auf High. Zusaromen mit der verwendeten Taktfrequenz 
fLeistungschip ergibt sich eine Filterzeit von 

7 1 

rp _ ^MaxCount r T* _ x 

1 Filter - r A PCU _ f ' 

^PCU r pcu 

wobei F C pu die Taktfrequenz des Mikrorechners ist. 
Mit dieser Implementierung werden alle Storungen, die ktirzer 
sind als T Fi i t er und die durch die Abtastung erfasst werden, 
unterdrtickt. Der Zahlerstand des Filters ist in Fig. 2 in 
Abhangigkeit vom Eingang des Filters dargestellt. 

Fig. 3 stellt ein Timing-Diagramm dar, welches die logischen 
Pegel der vorhandenen Steuerleitungen zeitabhangig dar- 
stellt. An Hand dieser Figur wird nun eine mogliche Defini- 
tion eines Watchdog-Zeitf ensters in Block 50 erlautert. Das 
Watchdog Zeitfenster in Block "Watchdog Window" 50 wird vom 
Prozessorchip 1 durch das SPI-Interf ace 5 bestimmt. Prozes- 
sorchip 1 wahlt den Watchdogtransf er durch die Chipselect- 
signale CSVO_N = low und CSWD_N = high aus . 
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Das Watchdog-Zeitf enster 17 beginnt nach der ersten steigen- 
den Flanke 14 auf dem Taktsignal der SPI-Obertrag SPICLK. 
Die Verzogerung TSync beinhaltet Signallauf zeiten sowie die 
Synchronisationszeit zwischen dem externen Takt des SPI- 
Interface und dem internen Leistungschip Systemtakt. 

Das Watchdog-Zeitf enster 17 endet an sich nach der steigen- 
den Flanke 15 von CSWD_N. Es muss jedoch sichergestellt wer- 
den, dass die Flanken der gefilterten Signale ERR bzw. ERR__N 
noch innerhalb des aktiven Watchdog-Zeitf ensters erkannt 
werden. Aus diesem Grund schlielit sich an den Zeitpunkt von 
Flanke 15 eine Verzogerungszeit TwindowDeiay an, in der noch die 
erwartete Flanke verarbeitet wird. Es gilt dabei die folgen- 
de Bedingung: 

TwindowDeiay > Tpnter 

Diese Bedingung erfullt die Anf orderungen jedoch nur in ei- 
nem storungsf reien System. Berticksichtigt man jedoch den 
Effekt, dass Storungen auf dem Eingangssignal eine zusatzli- 
che Verzogerung hervorrufen, dann erhalt man das robusteste 
und aufwandsgiinstigste System wenn 

TwindowDeiay w 2 • Tpiiter/ 

da im gestorten System die vorgestellte Filterverzogerung 
nie groJier werden kann, als die zweifache Filterzeit. 

Dabei sind folgende Anforderung an die Signalverzogerung 
innerhalb des Prozessorchips 1 zu stellen: 

Aufierhalb der Zeit, wahrend die Fehlerpruf routine lauft 
(Watchdogtransf er ) , fuhrt ein einmaliges Fehlerereignis in- 



• 
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nerhalb des Prozessorchips 1 immer zu einer Fehlererkennung 
innerhalb des Leistungschips 2. In diesem Fall muss Prozes- 
sorchip 1 lediglich garantieren, dass die minimale Pulslange 
Tnin auf den Signalen ERR bzw. ERR_N nicht unterschritten 
wird. 

Wahrend einer Fehlerpruf routine (Watchdogtransf er ) , in der 
uber Bus 5 ein Zeifenster definiert wird, muss garantiert 
werden, dass neben dem Fehler, der durch die Testprozedur 
hervorgeruf en wird, auch jeder zusatzliche Fehler sicher von 
Leistungschip 2 erkannt wird. In diesem Fall muss Prozessor- 
chip 1 die Pegel auf den Fehlerleitungen ERR/ERR_N fur den 
ersten auftretenden Fehler einmal andern. Tritt wahrend der 
Zeit Tnin ein weiterer Fehler in Prozessorchip 1 auf, dann 
muss dieser Fehler bis zum Ablauf der Zeit IWn verzdgert 
werden. Dann muss Prozessorchip 1 erneut die Signalpegel auf 
ERR/ERR_N andern. Dies erfolgt duch die Einrichtung 6 bzw. 
6' ("Toggle und Delay"). In diesem Fall wird in Leistungs- 
chip 2 entweder der zweifache Pegelwechsel wahrend des 
Watchdogzeitf ensters 17 erkannt, oder ein Pegelwechsel be- 
findet sich auBerhalb des Zeitf ensters 17. In beiden Fallen 
erkennt Leistungschip 2 den zusatzlichen Fehler. 

Ein zweimaliger Pegelwechsel im Abstand von T^n reicht damit 
in alien Fallen aus, urn einen Fehler in der Leistungschip zu 
erkennen. Der Block „Toggle & Delay,, 6 bzw. 6" muss damit 
neben dem ersten auftretenden Fehler nur einen weiteren Feh- 
ler urn Tnm verzdgert an die Leistungschip ubertragen. 



• 
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Pa ten tan spr ti che 

1. Verfahren zur Verbesserung der Storf estigkeit eines in- 
tegrierten Schaltkreises (16), bei dem Fehlersignale 
zwischen mindestens einem Mikroprozessorchip oder Mehr- 
f achprozessor-v^C (1) und mindestens einem weiteren Bau- 
stein (2) in Form von einem oder mehreren Fehlersignalen 
ubertragen werden, dadurch gekennzeichnet, dass fur die 
Ubertragung eine von der Taktfrequenz des Mikroprozes- 
sors oder der Mikroprozessoren unabhangige Mindestim- 
pulslange definiert wird, ab der ein Signal auf einer 
Fehlerleitung mit einer bestimmten Impulslange als ein 
Fehler interpretiert wird. 

2. Verfahren zur Verbesserung der Storf estigkeit eines in- 
tegrierten Schaltkreises (16), bei dem Fehlersignale 
zwischen mindestens einem Mikroprozessormodul oder Mehr- 
f achprozessor-Modul und mindestens einem weiteren Ge- 
mischtsignal-Modul in Form von einem oder mehreren Feh- 
lersignalen ubertragen werden, wobei die besagten Module 
auf einem Chip oder in einem Chip-Gehause integriert 
sind, dadurch gekennzeichnet, dass fur die Obertragung 
eine von der Taktfrequenz des Mikroprozessors oder der 
Mikroprozessoren unabhangige Mindestimpulsl&nge defi- 
niert wird, ab der ein Signal auf einer Fehlerleitung 
mit einer bestimmten Impulslange als ein Fehler inter- 
pretiert wird. 

3. Verfahren nach Anspruch 1 oder 2, dadurch gekennzeich- 
net, dass im Falle einer Fehlerfolge mit einem Fehlerab- 
stand, der kleiner als die Mindestimpulslange ist, die 
Zeit der liber die mindestens eine Fehlerleitung ausgege- 
benen Fehlerfolge gegeniiber der tatsachlichen Fehlerfol- 
gezeit zeitlich gedehnt wird. 
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4. Verfahren nach mindestens einem der Anspruche 1 bis 3, 
dadurch gekennzeichnet, dass das/die Fehlersignal/e in 
einem Chip, welcher das/die Fehlersignal/e eines anderen 
Chips Oder Bausteins empfangt, genau dann nicht verar- 
beitet werden, wenn die Signale eine Mindestdauer unter- 
schreiten und genau dann verarbeitet werden, wenn die 
Mindestdauer erreicht, oder uberschritten wird, wobei 
hierzu die Signale insbesondere durch zumindest ein Fil- 
ter, insbesondere ein Tiefpafif ilter (7, 7'), geleitet 
werden* 

5. Verfahren nach mindestens einem der vorhergehenden An- 
spruche, dadurch gekennzeichnet, dass mindestens ein 
Watchdog-Zeitf enster (17) im integrierten Schaltkreis 
oder im weiteren Baustein (2) vorgegeben wird, innerhalb 
dem mindestens ein kUnstlich erzeugtes Fehlersignal oder 
Fehlersignalmuster erzeugt und uberpruft wird, so dass 
die Fehlererkennungsschaltkreise selbst uberprtifbar wer- 
den. 

6. Verfahren nach mindestens einem der vorhergehenden An- 
sprtiche, dadurch gekennzeichnet, dass das Watchdog- 
Zeitf enster (17) eine Verzogerungszeit T wi ndowDeiay hat, wo- 
bei bis zum Ablauf der Verzogerungszeit TwindowDeiay das 
Zeitfenster, in dem mindestens ein Fehlersignal oder 
Fehlersignalmuster erwartet wird, weiter geoffnet 
bleibt . 

7. Verfahren nach Ahspruch 5, dadurch gekennzeichnet, dass 
die Verzogerungszeit TwindowDeiay grofier ist als die Filter- 
zeit T Fi iter des oder der Filter (7, 7'), welche/s das o- 
der die Fehlersignale der mindestens einen Fehlerleitung 
(3, 3') verarbeitet. 
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8. Verfahren nach mindestens einem der vorhergehenden An- 
spruche, dadurch gekennzeichnet, dass innerhalb des feh- 
lersignalsendenden Chips (1) die Fehlersignale verbrei- 
tert werden und/oder verzogert nacheinander liber die 
Fehlerleitung/-en ausgegeben werden. 

9. Verfahren nach mindestens einem der vorhergehenden An- 
spruche, dadurch gekennzeichnet, dass mit Hilfe der 
Schnittstelle (5) ein Test der mindestens einen Fehler- 
leitung (3,4) durchgefuhrt wird. 

10. Verfahren nach mindestens einem der vorhergehenden An- 
spriiche, dadurch gekennzeichnet, dass die Fehlersignale 
durch Filter (7,7') mit einer bestimmten Filterzeit T F ±i- 
ter gefiltert werden. 

11. Verfahren nach mindestens einem der vorhergehenden An- 
spruche, dadurch gekennzeichnet, dass das Zeifenster 
TwindowDeiay weiteren Baustein (2) uber die mit Chip (1) 
verbundenen Schnittstelle (5) festgelegt wird. 

12. Verfahren nach mindestens einem der vorhergehenden An- 
spriiche, dadurch gekennzeichnet, dass die Bedingung Twin- 
dowDeiay grolier als Filterzeit T F iiter erfullt ist. 

13. Verfahren nach mindestens einem der vorhergehenden An- 
spriiche, dadurch gekennzeichnet, dass die Verzogerung 
TwindowDeiay in etwa der zweifachen Zeit T F ii te r entspricht. 

14. Verfahren nach mindestens einem der vorhergehenden An- 
spriiche, dadurch gekennzeichnet, dass die Pulsbreite Twin 
auf einen Wert von mindestens etwa 30 ns festgelegt 
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wird. 

15. Integrierter Schaltkreis, insbesondere derart, dass das 
obige Verfahren ausgeftihrt wird, umfassend 

- mindestens einen Mikroprozessorchip Oder Mehrfachpro- 
zessor-Microcontroller (1) oder Mikroprozessormodul und 
mindestens einen weiteren separaten Baustein (2) oder 
ein im gleichen Baustein integriertes Gemischtsignalmo- 
dul, der/welches insbesondere separat angeordnete Leis- 
tungsbauelemente umfasst, und 

- einen oder mehrere Impulsverbreiterungseinrichtungen 
und/oder Signalverzogerungseinrichtungen zum Nacheinan- 
derausgeben von Fehlerimpulsen (6, 6") liber mindestens 
eine Fehlerleitung (3,4) 

16. Integrierter Schaltkreis nach Anspruch 15, gekennzeich- 
net durch 

einen oder mehrere Filter (7,7') zur Filterung der durch 
die Fehlerleitungen (3,4) tibertragenenen Fehlersignale . 

17. Integrierter Schaltkreis, insbesondere derart, dass das 
Verfahren gemaB einem Anspriiche 1 bis 14 ausgeftihrt 
wird, umfassend 

- mindestens einen Mikroprozessorchip oder Mehrfachpro- 
zessor-Microcontroller (1) und mindestens einen weiteren 
Baustein (2), der insbesondere separat angeordnete Leis- 
tungsbauelemente umfasst und 

- einen oder mehrere Filter (7,7') zur Filterung von 
Fehlerimpulsen (6, 6') uber mindestens eine Fehlerlei- 
tung (3,4) . 

18. Integrierter Schaltkreis nach mindestens einem der vor- 
herigen Schaltkreisansprtiche, dadurch gekennzeichnet, 
dass das Filter (7,7") als digitaler Vorwarts/Ruck- 
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wartszahler ausgefiihrt ist. 

19. Integrierter Schaltkreis nach mindestens einem der vor- 
herlgen Schaltkreisansprtiche, dadurch gekennzeichnet, 
dass die Chips oder Bausteine mittels mindestens einem 
Bus (5) und mindestens einer Fehlerleitung (3,4) verbun- 
den sind. 

20. Integrierter Schaltkreis nach mindestens einem der vor- 
herigen Schaltkreisansprtiche, dadurch gekennzeichnet, 
dass dieser hardwaremaftige Teststrukturen umfasst, mit 
deren Hilfe iiber eine Schnittstelle (5) ein Test der 
mindestens einen Fehlerleitung (3,4) durchgefiihrt werden 
kann. 

21. Integrierter Schaltkreis nach mindestens einem der vor- 
herigen Schaltkreisansprtiche, dadurch gekennzeichnet, 
dass der Mikroprozessorchip (1) oder der weitere Bau- 
stein zumindest einen Watchdog-Window-Schaltkreis (50) 
umfasst . 

22. Integrierter Schaltkreis nach Anspruch 21, dadurch ge- 
kennzeichnet, dass der Watchdog-Window-Schaltkreis (50) 
ein Watchdog-Zeitf enster (17) vorgibt und das Watchdog- 
Zeitfenster (17) eine Verzogerungszeit T Wind owDeiay hat, wo- 
bei bis zum Ablauf der Verzogerungszeit TwindowDeiay das 
Zeitfenster, in dem mindestens ein Fehlersignal oder 
Fehlersignalmuster erwartet wird, weiter geoffnet 
bleibt. 

23. Integrierter Schaltkreis, insbesondere derart, dass das 
Verfahren gemafi einem Anspruche 1 bis 14 ausgefiihrt 
wird, umfassend 

- mindestens einen Mikroprozessorchip oder Mehrfachpro- 
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zessor-Microcontroller (1) und mindestens einen weiteren 
Baustein (2) , der insbesondere separat angeordnete Leis- 
tungsbauelemente umfasst und 

- zumindest einen Watchdog-Window-Schaltkreis (50) , der 
ein Watchdog-Zeitf enster (17) vorgibt und das Watchdog- 
Zeitfenster (17) eine Verzogerungszeit T W indowDeia Y hat, wo- 
bei bis zum Ablauf der Verzogerungszeit T W indowDeia y das 
Zeitfenster, in dem mindestens ein Fehlersignal oder 
Fehlersignalmuster erwartet wird, weiter geoffnet 
bleibt. 

24. Integrierter Schaltkreis nach mindestens einem der vor- 
herigen Schaltkreisanspriiche, dadurch gekennzeichnet, 
dass die Verzogerungszeit T W indowDeia y groiier ist als die 
Filterzeit T Fi i te r des oder der Filter (7 , 1'), welche/s 
das oder die Fehlersignale der mindestens einen Fehler- 
leitung (3, 3') verarbeitet. 



A 



Zusammenf as sung 

Verfahren und integrierter Schaltkreis zur Erhohung der 
Storfestigkeit 

Beschrieben ist ein Verfahren zur Verbesserung der Storfes- 
tigkeit eines integrierten Schaltkreises (16), bei dem Feh- 
lersignale zwischen mindestens einem Mikroprozessorchip oder 
Mehrfachprozessor-pC (1) und mindestens einem weiteren Bau- 
stein (2) in Form von einem oder mehreren Fehlersignalen 
ubertragen werden, bei dem fur die Ubertragung eine von der 
Taktfrequenz des Mikroprozessors oder der Mikroprozessoren 
unabhangige Mindestimpulslange definiert wird, ab der ein 
Signal auf einer Fehlerleitung mit einer bestimmten Impuls- 
lange als ein Fehler interpretiert wird. 

Die Erfindung betrifft auch einen integrierten Schaltkreis, 
der insbesondere derart ausgefuhrt ist, dass das obige Ver- 
fahren ausgeflihrt wird, umfassend 

- mindestens einen Mikroprozessorchip oder Mehrf achprozes- 
sor-Microcontroller (1) und mindestens einen weiteren Bau- 
stein (2), der insbesondere separat angeordnete Leistungs- 
bauelemente umfasst, und 

- einen oder mehrere Impulsverbreiterungseinrichtungen 
und/oder Signalverzogerungseinrichtungen zuiti Nacheinander- 
ausgeben von Fehlerimpulsen (6, 6') uber mindestens eine 
Fehlerleitung (3,4) 



(Fig. 1) 



